Summer.fi：Lazy Summer Protocol 遇襲源於 NAV 計算機制被利用，非智能合約漏洞

ChainCatcher 報道，Summer.fi 就 Lazy Summer Protocol 的 USDC 金庫遭攻擊一事發表分析。報告指，攻擊者在單一原子交易中操控兩個 USDC 金庫的份額價格，提走約 604 萬美元存戶資金。 事件關鍵在於金庫資產淨值（NAV）的計算方式被鑽空子。攻擊者向一個 Silo Ark 捐入以舊估值計價的代幣；該 Ark 自 2025 年 11 月事故後一直處於暫停狀態，但尚未完全移除，令金庫總資產被人為抬高約 9.5%，從而推高份額價格。其後攻擊者按被抬高的價格贖回份額，並從金庫實際流動性中提取資金。 Summer.fi 強調，今次並非智能合約本身存在漏洞，而是金庫停用流程出現缺口：相關 Ark 雖然已把存款上限設為 0，其資產仍被納入 NAV 計算。報告亦提到，攻擊者早於三個月前已部署行動，透過多個錢包分散累積所需代幣，並將部分所得經 Tornado Cash 作清洗。 事故後，Guardian Multisig 已暫停所有鏈上金庫，並把各金庫存款上限設為 0。Lazy Summer DAO 將於未來數日討論受影響用戶的補償方案，以及金庫恢復提案。